Основы информационной безопасности
Содержание
Каналы утечки информации и методы несанкционированного доступа к конфиденциальной информации
Каналы утечки информации ограниченного доступа
Понятие и классификация каналов утечки информации ограниченного доступа
Любая угроза безопасности информации реализуется применением определённого способа воздействия, предусматривающего использование соответствующего этому способу средства.
Преднамеренные воздействия планируются. При этом злоумышленник (нарушитель) определяет цель воздействия на защищаемую информацию, носитель (источник) информации, алгоритм воздействия, путь от средства воздействия до носителя информации, средство и способ получения информации.
В случае с информацией ограниченного доступа основной целью воздействия является получение сведений конфиденциального характера или секретной информации, и злоумышленник определяет маршрут её получения или несанкционированного доступа, если невозможно получить её другим способом.
Известно, что информация вообще передаётся полем или веществом. Это либо акустическая волна (звук), либо электромагнитное излучение, либо лист бумаги с текстом, либо дискета с электронными документами и др. Исходя из физической природы, выделяют следующие средства переноса информации:
электромагнитные волны (включая волны видимого диапазона - световые лучи);
звуковые волны;
материалы и вещества.
В общем случае путь от источника информации ограниченного доступа к её незаконному получателю (злоумышленнику) называют каналом утечки информации. Канал - это маршрут передачи информации.
В современных источниках по защите информации существует множество определений канала утечки информации. Исходя из их анализа, наиболее полно (в широком смысле) это определение может быть выражено следующим образом:
Канал утечки информации - неконтролируемый физический путь от источника информации ограниченного доступа за пределы организации или круга лиц, обладающих охраняемыми сведениями, посредством которого возможно неправомерное овладение злоумышленниками конфиденциальной (секретной ) информацией.
Канал утечки информации - канал коммуникации, позволяющий процессу передавать информацию путем, нарушающим безопасность системы
Канал утечки информации - методы и пути утечки информации из информационной системы; паразитная (нежелательная) цепочка носителей информации, один или несколько из которых являются (могут быть) правонарушителем или его специальной аппаратурой.
Условно всю совокупность каналов утечки информации можно разделить на две труппы: потенциально существующие и специально создаваемые.
Потенциально существующие каналы утечки (широковещательные) - незащищённые каналы передачи информации. Они имеют место всегда, когда отсутствуют системы и средства защиты информации, меры организационного и правового характера.
Потенциально существующие каналы утечки информации создают возможность несанкционированного доступа к конфиденциальной информации с применением технических средств разведки и получения её агентурной разведкой, а также разглашения. Их использование не требует принятия специальных мер для преодоления систем и рубежей защиты. Используются пассивные способы реализации угроз.
Специально создаваемые каналы утечки информации связаны с необходимостью несанкционированного доступа к информации ограниченного доступа. Их создание связано с нарушением систем защиты, функционирования средств защиты, а также правил и прав доступа. Цель создания - несанкционированный доступ и получение информации. Специально создаваемые каналы, характеризуются внедрением агентов или подкупом персонала, использованием специальных закладочных устройств и (или) программных закладок, программных вирусов и т.д. При их использовании осуществляется активное воздействие на персонал, системы защиты или системы передачи данных. Канал утечки информации является одной из составляющих угрозы безопасности информации ограниченного доступа. С использованием каналов утечки информации реализуются способы НСД к информации ограниченного доступа и получение её разведками.
Единого подхода к классификации каналов утечки информации в методологии защиты информации в настоящее время нет. В большинстве случаев классифицируются технические каналы утечки информации.
Исходя из существующих норм защиты информации, определённых в нормативных документах по защите информации можно выделить следующие группы каналов утечки информации (рисунок 11.1):
организационные каналы утечки информации (О-КУИ);
технические каналы утечки информации (Т-КУИ);
инфо-телекоммуникационные каналы утечки информации (ИТК-КУИ);
системно-программные каналы утечки информации (СП-КУИ);
комбинированные каналы утечки информации (К-КУИ).
Рисунок 11.1 - Классификация каналов утечки информации